Apresentação acunetix scanner ambiente web - abril2012 [modo de compatibilidade]

ACUNETIX

Scanner para Identificar Vulnerabilidades em
Aplicações WEB

Março 2012

SUNLIT TECHNOLOGIES
Representante Acunetix no Brasil

Combating the web vulnerability threat www.acunetix.com

GARTNER GROUP aponta a solução ACUNETIX como
um dos líderes em ANÁLISE DE VULNERABILIDADE DE
APLICAÇÕES

Confira a posição de destaque ocupada pela solução ACUNETIX no
QUADRANTE MÁGICO do GARTNER GROUP (dezembro de 2011) em referencia ao tema
DAST (Dynamic Application Security Testing) ou Análise de Vulnerabilidades em Aplicações.


Por que sua empresa pode se tornar alvo de
hackers ?

Porque voce disponibiliza seu website 7x24 para atender seus clientes
e…os hackers sabem disso !

Além disso….os hackers gostam bastante de se divertir…e aproveitam
o tempo livre para :
. – Obter acesso a dados sensitivos (de sua empresa, de seus
fornecedores e de …seus clientes…..)
– Descaracterizar websites
– Lhe ´presentear´ com mensagens PHISHING para obter seus dados
bancários
– ´Entupir´ seus links de acesso pela distribuição de conteúdo ilegal
– Manipular de forma maliciosa seus aplicativos WEB


O que sua empresa perde sendo ´hackeada´ ?

• Confidencialidade de informações relativas ao negócio
• Perda de confiança e reputação perante seus clientes e
fornecedores
• Imagem da sua empresa é ´arranhada´
• Suas operações podem ficar ´fora-do-ar´
• Perda de faturamento e receitas
• Implicações legais e multas


Porque escolher um scanner ambiente WEB ?

• Voce pode manter aberta a Port 80
• Um firewall de aplicação WEB não é suficiente para barrar intrusos
• Firewalls, IDS and IPS não tem proteção suficiente
• Acesso direto a servidores corporativos
• Aplicações feitas in-house não são auditadas


Como o Scanner-Acunetix funciona…..

• Detecta SQL Injection e XSS – entre outras vulnerabilidades..
• Audita websites de forma manual e automatica
• Estado da arte na tecnologia de rastreamento de vulnerabilidades
– Utiliza Engine (CSA) Client Script Analyzer
• Suporte a Web 2.0, JavaScript / Ajax, JQuery com engine CSA
• Abordagem com métodos Heuristicos
• Relatórios detalhados
• Suporte a linha de comando


Diferenciais técnicos da solução ACUNETIX
• Detecção de erro 404
• Manipula formulários CAPTCHA
• Suporta single-sign-on e mecanismos de tokens
• Suporta múltiplos SCANS a partir de mesma máquina (versão 8 – fev 2012)
• Permite a manipulação de parametros da URL (versão 8 – fev 2012)
• Identifica uma nova classe de vulnerabilidade: HTTP PARAMETER
POLLUTION (versão 8 – fev 2012)
• Permite acesso direto ao código das aplicações WEB através da
tecnologia ACUSENSOR


O que é a funcionalidade ACUSENSOR ?

• Vai além do escaneamento CAIXA-PRETA
• Verifica a configuração da tecnologia WEB
• Menor número de falso-positivos
• Sem regras de regravação Url


A tecnologia AcuSensor gera informações
avançadas para ´debug´ de vulnerabilidades

Mostra qual a query QL vulnerável ao
SQL Injection
E indica exatamente a linha de
Código onde a vulnerabilidade está
Localizada. ….


Interface amigável

Facilidade no acompanhamento de status das vulnerabilidades


Testes de penetração avançados em ambiente WEB

• Testes de penetração avançados incluem :
– HTTP Editor
– HTTP Sniffer
– HTTP Fuzzer
– Blind SQL injector
– Authentication Tester


Uma solução de segurança completa

• Acunetix verifica :
– Configuração do Web server
– Configuração da tecnologia Web (.NET, PHP etc)
– Port scanner & Network Alerts


Geração de Relatórios

• Relatórios de compliance e
auditoria
- OWASP-Top 10
- PCI-DSS entre outros
• Relatórios para o desenvolvedor
• Relatórios comparativos
• Exporta relatórios para PDF ,
HTML, etc


Apresentação Técnica

• Como agem os hackers? • Configuração - Acunetix WVS
• O que é um Scanner de ambiente Web ? – Application Settings
• Acunetix WVS – Perfis para escaneamento
– Scan Wizard
– Resultados do Escaneamento
– Relatórios do Escanemanto
• Funcionalidades - Acunetix WVS
– Target Finder
– Site Crawler
– Tecnologia AcuSensor
– Port Scanner & Network Alerts
– HTTP Editor
– HTTP Fuzzer
– HTTP Sniffer
– Blind SQL Injector
– Authentication Tester
– Compare os resultados


Como agem os hackers ?

• Hackers usam um plano sistemático de ação :
1. Estudam a infraestrutura operacional (sistema operacional e
tipos de servidores) .
2. Pesquisam o website/ aplicação WEB
3. Identificam a presença de vulnerabilidades
4. Planejam e executam o ataque
• Acunetix WVS atua de forma contínua na identificação de
vulnerabilidades na aplicação WEB e/ou na tecnologia WEB (PHP,
Apache,etc) e/ou um determinado servidor WEB e/ou ainda qualquer
serviço de rede (DNS, FTP, etc) que roda no servidor WEB.


Como os hackers planejam seus ataques....


Técnicas de hacking mais ativas

• Métodos estáticos conhecidos: • Métodos dinamicos desconhecidos :
– Explorar vulnerabilidades em – SQL Injection
aplicações Web – Cross-site Scripting
– Directory & Link Traversal
– Enurmeração de diretórios – File Inclusion
– Exposição de código-fonte
– Explorar vulnerabilidades em – Execução de código
servidores Web – Common File Checks
– Manipulação de parametros
– Explorar vulnerabilidades em – Criação ou deleção de arquivos de
tecnologia Web (ex : PHP) forma arbitrária
– CRLF Injection
– Explorar vulnerabilidades em serviços – Path Truncation
de rede (ex: DNS, FTP, SMTP)
– Engenharia reversa de Java Applet
– Session Hijacking
– Ataques de autenticação
– Google Hacking Database

A solução Acunetix WVS identifica todos os
métodos acima descritos e muito mais....


O que é um Scanner de ambiente Web ?

• Hacking são formas de ataques maliciosos contra aplicações-Web.
Qualquer usuário visitando um website pode ser um hacker em potencial ...
Por isso, uma abordagem de prevenção é a primeira linha de defesa.
• Um Scanner de ambiente WEB é uma ferramenta automática de
segurança que identifica vulnerabilidades em aplicações WEB ou
tecnologias WEB ou servidores-WEB.


A que se propõem a solução
WVS-ACUNETIX ?
• Acunetix WVS é um Scanner-WEB que possibilita efetuar checagens
automáticas e manuais na identificação de vulnerabilidades .

• Acunetix WVS usa métodos dinamicos para replicar ataques de
hackers utilizando maneiras não-destrutivas. Acunetix WVS é uma
ferramenta essencial para identificar vulnerabilidades em suas
aplicações Web e servidores-Web.


Acunetix WVS

Acunetix WVS é um Scanner
que utiliza metodologia
heurística permitindo
escaneamento & auditoria
de forma automática e
manual.

Pela replicação de ataques
hackers de forma não-
não-
destrutiva - Acunetix-WVS
Acunetix-
é uma ferramenta essencial
para manter seu ambiente
livres de hackers & pragas
digitais.
digitais.


Como o Acunetix-WVS efetua a
busca por vulnerabilidades

• Fase 1 - Processo de ´rastejamento´ para descobrir
vulnerabilidades
• Fase 2 - Escaneamento Automático
• Fase 3 - (opcional) – Testes manuais específicos
• Fase 4 - Geração Relatórios


ACUNETIX – WVS

Resumo das principais funcionalidades

- AcuSensor Technology
- Port Scanner & Network Alerts
- Blind SQL Injector

Tecnologia AcuSensor

• Nova tecnologia que permite a
identificação de novas
vulnerabilidades em aplicações que
vai além do tradicional escaneamento
´caixa-preta´ enquanto gera menos
´falso-positivos´.

• ACUSENSOR indica exatamente
onde está a vulnerabilidade no código
e lhe mostra informações relevantes
tais como – Stack-Trace
(acompanhamento linha-a-linha do
código), linha do código com problema
e nome do arquivo.


Port Scanner & Network Alerts

• Executa scan de portas no servidor
Web – e testes de segurança nos
serviços que rodam nessas portas –
tais como : DNS open recursion
tests, configuração incorreta em
proxy-servers, open relay SMTP
servers - e muito mais...

• Escreva o seu próprio teste de
segurança usando a tecnologia
Microsoft Active Scripting e use o
nosso script como referencia.


Blind SQL Injector

• Ideal para testes de
penetração , o Blind SQL
injector é uma ferramenta de
extração de dados
automatizada para realização
de testes manuais e melhor
depuramento da
vulnerabilidade SQL-Injection


Funcionalidades adicionais …

• Funcionalidade de Pausa e
Recomeço do Escaneamento
• Opção para marcar alertas como
falso-positivo
• Suporte ao NTLM V2
• Scanner agora pode agregar a
lista de erros incomuns
• Possibilidade para localizar
rapidamente uma vulnerabilidade
pelo uso de filtros
• Todas opções de escaneamento
estão agora disponiveis em
Scheduler


Alguns de nossos clientes no BRASIL


Muito obrigado pela sua atenção !

Referencias adicionais :
Acunetix Blog
http://www.acunetix.com/blog
Faça um tour para conhecer o WVS-Acunetix
http://www.acunetix.com/vulnerability-scanner/features.htm
Lista de verificações feitas pelo WVS-Acunetix
http://www.acunetix.com/support/vulnerability-checks.htm

Entre em contato conosco

Sunlit Advanced Technology
www.sunlit.com.br
11-91362957 - Antonio Carlos Scola
acscola@sunlit.com.br


Apresentação acunetix scanner ambiente web - abril2012 [modo de compatibilidade]

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (19)

Ähnlich wie Apresentação acunetix scanner ambiente web - abril2012 [modo de compatibilidade]

Ähnlich wie Apresentação acunetix scanner ambiente web - abril2012 [modo de compatibilidade] (20)

Apresentação acunetix scanner ambiente web - abril2012 [modo de compatibilidade]